10) Порядок обеспечения защиты информации в ас

В целях обеспечения безопасности информации в АС следует выполнять следующие требования и рекомендации:

• допуск лиц к АС должен осуществляться в соответствии с установленным в организации порядком (разрешительной системой допуска);

• если в помещениях, где обрабатывается защищаемая информация, есть технические средства отображения информации, должен быть исключен ее несанкционированный просмотр.

• если пользователь закончил работу с защищаемой информацией или хочет передать управление другому, он должен стереть все временные файлы (например, перезагрузив ПЭВМ).

• изменение или ввод новых программ в АС должен выполняться разработчиком АС и администратором АС.

• при изменении состава администраторов АС (например, увольнении) должны быть приняты меры по быстрой смене паролей, идентификаторов и ключей шифрования и подписи.

Все носители информации (бумажные, оптические, магнитные и магнитно-оптические) должны учитываться. Для учета могут применяться карточки, журналы (для маленьких организаций), а также автоматизированный учет с использованием СВТ.

11) Защита конфиденциальной информации на автоматизированных рабочих местах на базе автономных пэвм

Автоматизированные рабочие места на базе автономных ПЭВМ являются автоматизированными системами, обладающими всеми основными признаками АС. Информационным каналом обмена между такими АС являются носители информации на магнитной (магнитно-оптической) и бумажной основе.

В связи с этим порядок разработки и эксплуатации АРМ на базе автономных ПЭВМ по составу и содержанию проводимых работ по защите информации, организационно-распорядительной, проектной и эксплуатационной документации должны полностью отвечать требованиям настоящего документа.

АС на базе автономных ПЭВМ в соответствии с требованиями РД Гостехкомиссии России "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации" должны быть классифицированы и отнесены:

• к 3 группе АС, если в ней работает только один пользователь, допущенный ко всей информации АС;

• ко 2 и 1 группе АС, если в ней последовательно работают несколько пользователей с равными или разными правами доступа (полномочиями), соответственно.

Примечание: При использовании на автономной ПЭВМ технологии обработки информации на съемных накопителях большой емкости, классификация АС производится на основании анализа режима доступа пользователей АС к информации на используемом съемном накопителе (либо одновременно используемом их комплексе).

12) Требования и рекомендации по защите речевой информации.

Рассмотрим основные требования и рекомендации СТР-К по защите речевой информации, циркулирующей в защищаемом помещении.

1. В организации должен быть документально определен перечень защищаемых помещений (ЗП) и лиц, ответственных за их эксплуатацию в соответствии с установленными требованиями по защите информации. На ЗП должен быть составлен технический паспорт, форма которого приведена в качестве приложения в СТР-К.

2. Защищаемые помещения должны размещаться в пределах контролируемой зоны (КЗ) с учетом следующих рекомендаций:

   • удаление ЗП от границ контролируемой зоны;

   • ограждающие конструкции ЗП не должны являться смежными с помещениями других организаций;

   • рекомендуется не располагать ЗП на первых этажах зданий;

   • использование штор или жалюзи на окнах.

3. Рекомендуется использовать сертифицированные по требованиям безопасности информации ОТСС и ВТСС либо средства, прошедшие специальные исследования и имеющие предписание на эксплуатацию. Эксплуатация технических средств должна осуществляться в соответствии с эксплуатационной документацией на них.

4. По решению руководителя предприятия может проводиться специальная проверка защищаемого помещения и установленного в нем оборудования с целью выявления закладных устройств.

5. Запрещается использование радиотелефонов, оконечных устройств сотовой, пейджинговой и транкинговой связи, переносных магнитофонов и других средств аудио и видеозаписи при проведении конфиденциальных мероприятий в ЗП. При установке в ЗП телефонных и факсимильных аппаратов с автоответчиком или спикерфоном, а также аппаратов с автоматическимопределителем номера, следует отключать их из сети на время проведения этих мероприятий.

6. В качестве оконечных устройств телефонной связи, имеющих прямой выход на городскую АТС, рекомендуется использовать телефонные аппараты, прошедшие специальные исследования, либо оборудовать их сертифицированными средствами защиты информации от утечки за счет электроакустического преобразования.

7. Рекомендуется устанавливать в ЗП цифровые ТА цифровых АТС, имеющих выход в городскую АТС или к которой подключены абоненты, не являющиеся сотрудниками организации. В случае необходимости, рекомендуется использовать сертифицированные по требованиям безопасности информации цифровые АТС либо устанавливать в эти помещения аналоговые аппараты.

8. Ввод системы городского радиотрансляционного вещания на территорию организации рекомендуется осуществлять через радиотрансляционный узел (буферный усилитель), размещаемый в пределах контролируемой зоны.

При вводе системы городского радиовещания без буферного усилителя в ЗП следует использовать абонентские громкоговорители в защищенном от утечки информации исполнении, а также трехпрограммные абонентские громкоговорители в режиме приема 2-й и 3-й программы (с усилителем).В случае использования однопрограммного или трехпрограммного абонентского громкоговорителя в режиме приема первой программы (без усиления) необходимо их отключать на период проведения конфиденциальных мероприятий.

9. В случае размещения электрочасовой станции внутри контролируемой зоны использование в ЗП электровторичных часов возможно без средств защиты информации. При установке электрочасовой станции вне контролируемой зоны в линии электровторичных часов, имеющие выход за пределы КЗ, рекомендуется устанавливать сертифицированные средства защиты информации.

10. В системах пожарной и охранной сигнализации должна использоваться проводная схема сбора информации и связи с пультом. Системы должны располагаться в пределах одной КЗ с защищаемым помещением.

В качестве оконченных устройств рекомендуется использовать изделия, сертифицированные по требованиям безопасности, или образцы средств, прошедшие специальные исследования.

11. Звукоизоляция ограждающих конструкций защищаемого помещения, системы вентиляции и кондиционирования должна обеспечивать отсутствие возможности прослушивания ведущихся в нем разговоров из-за пределов помещения. Достаточность звукоизоляции устанавливается аттестационной комиссией.

Для обеспечения необходимого уровня звукоизоляции помещений рекомендуется оборудование дверных проемов тамбурами с двойными дверями, установка дополнительных рам в оконных проемах, уплотнительных прокладок в дверных и оконных притворах и применение шумопоглотителей на выходах вентиляционных каналов.

Если предложенными выше методами не удается обеспечить необходимую акустическую защиту, следует применять организационно-режимные меры, ограничивая на период проведения конфиденциальных мероприятий доступ посторонних лиц в места возможного прослушивания разговоров, ведущихся в защищаемом помещении.

12. Для снижения вероятности перехвата информации по виброакустическому каналу следует организационно-режимными мерами исключить возможность установки посторонних устройств на внешней стороне ограждающих конструкций и выходящих за пределы контролируемой зоны инженерных коммуникаций (систем отопления, вентиляции, кондиционирования).

Для снижения уровня виброакустического сигнала рекомендуется расположенные в защищаемом помещении элементы инженерно-технических систем отопления, вентиляции оборудовать звукоизолирующими экранами.

13. В случае если указанные выше меры защиты информации от утечки по акустическому и виброакустическому каналам недостаточны или нецелесообразны, рекомендуется применять метод активного акустического или виброакустического маскирующего зашумления. Для этой цели должны применяться сертифицированные средства активной защиты.

14. При эксплуатации защищаемого помещения необходимо предусматривать организационно-режимные меры, направленные на исключение несанкционированного доступа в помещение:

    • двери в период между мероприятиями, а также в нерабочее время необходимо запирать на ключ;

    • выдача ключей должна производиться лицам, работающим в нем или ответственным за это помещение;

    • установка и замена оборудования, мебели, ремонт должны производиться только по согласованию и под контролем подразделения по защите информации организации.